rvermeulen/apache-struts-cve-2017-9805استغلال لثغرة Apache Struts CVE-2017-9805، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد في إضافة REST. تتيح اختبار الاختراق وتقييم الأمان لتطبيقات الويب القائمة على Java وStruts.
إطار عمل أباتشي سترتس للويب هو حل مفتوح المصدر ومجاني لإنشاء تطبيقات ويب بلغة جافا.
تختلف تطبيقات الويب عن المواقع التقليدية في أن تطبيقات الويب يمكنها إنشاء استجابة ديناميكية. تقدّم العديد من المواقع صفحات ثابتة فقط. يمكن لتطبيق الويب التفاعل مع قواعد البيانات ومحركات منطق الأعمال لتخصيص الاستجابة.
تخلط تطبيقات الويب المبنية على صفحات JavaServer أحيانًا بين كود قاعدة البيانات وكود تصميم الصفحة وكود تدفق التحكم. من الناحية العملية، نجد أنه ما لم يتم فصل هذه الاهتمامات، يصبح من الصعب صيانة التطبيقات الأكبر حجمًا.
إحدى طرق فصل الاهتمامات في تطبيق برمجي هي استخدام بنية Model-View-Controller (MVC). يمثل النموذج (Model) كود الأعمال أو قاعدة البيانات، وتمثل العرض (View) كود تصميم الصفحة، ويمثل المتحكم (Controller) كود التنقل. صُمم إطار عمل سترتس لمساعدة المطورين على إنشاء تطبيقات ويب تستخدم بنية MVC.
يوفر الإطار ثلاثة مكونات رئيسية:
معالج «طلب» (request) يوفره مطور التطبيق ويُربط بمعرّف موارد موحد (URI) قياسي. معالج «استجابة» (response) ينقل التحكم إلى مورد آخر يُكمل الاستجابة. مكتبة وسوم تساعد المطورين على إنشاء تطبيقات تفاعلية قائمة على النماذج باستخدام صفحات الخادم. بنية الإطار ووسومه متوافقة مع المصطلحات الرائجة. يعمل سترتس بشكل جيد مع تطبيقات REST التقليدية ومع تقنيات مثل SOAP وAJAX.
مشروع أباتشي سترتس هو المجتمع مفتوح المصدر الذي ينشئ إطار عمل أباتشي سترتس ويحافظ عليه. يتكون المشروع من مجموعة متنوعة من المتطوعين الذين يتشاركون قيمًا مشتركة بشأن التطوير مفتوح المصدر القائم على التعاون والمجتمع. يفتخر مشروع أباتشي سترتس بمشاركة هذه القيم مع منظمتنا الأم: مؤسسة أباتشي للبرمجيات.
يُسمى المشروع «سترتس» (Struts) لأن الإطار مصمم لتوفير «الأسس الخفية» التي تدعم تطوير التطبيقات الاحترافية. يوفر سترتس المادة الرابطة التي تجمع العناصر المختلفة لمنصة جافا القياسية في كلٍّ متماسك. هدفنا هو الاستفادة من المعايير الحالية من خلال إنتاج القطع المفقودة التي نحتاجها لإنشاء تطبيقات بمستوى المؤسسات يسهل صيانتها بمرور الوقت.
قدم مشروع أباتشي سترتس نسختين رئيسيتين من إطار عمل سترتس. حاليًا نحن نحافظ فقط على إصدار سترتس 2. يوصى بترقية جميع تطبيقات Struts 1.x إلى Struts 2. يُرجى عدم البدء في تطوير تطبيقات جديدة باستخدام Struts 1.x، لأننا لم نعد نصدر تصحيحات أمنية.
كان سترتس 2 معروفًا في الأصل باسم WebWork 2. بعد العمل بشكل مستقل لعدة سنوات، وحد مجتمعا WebWork وسترتس جهودهما لإنشاء سترتس 2. إطار عمل 2.x هو الخيار الأفضل للفرق التي تقدر الحلول الأنيقة للمشكلات الصعبة.
أباتشي سترتس هو إطار عمل ويب حديث ومُصان وواسع الميزات. لقد كان موجودًا منذ سنوات، وبالنظر إلى قاعدة المستخدمين الضخمة فمن غير المرجح أن يختفي في أي وقت قريب في المستقبل. ليس ذلك فحسب، بل لدينا مستخدمون ومطورون مخلصون في المشروع. أباتشي سترتس مرخص بموجب رخصة أباتشي 2.0 ولن يتغير هذا. نحافظ على ملكية فكرية (IP) نظيفة، وأنت «آمن» في استخدام المشروع. أحيانًا لا تكون «آمنًا» في استخدام مشروع عندما تتحكم شركة في نظام إدارة الكود المصدري (SCM). الوصول إلى الكود المصدري لا يعني أنه مجاني. مع أباتشي سترتس، أنت لست حرًا فقط في «أن تفعل ما تريد به»، بل يمكنك حتى المساهمة (وهو أمر ليس متاحًا دائمًا). وأفضل ما في الأمر: يمكنك أيضًا أن تصبح جزءًا من الفريق الأساسي.
من السهل عادةً دمج تقنيات أخرى مع أباتشي سترتس. إذا كنت تستخدم ORM مثل Apache Cayenne أو Hibernate أو JDBC فلن تواجه أي قيود. أباتشي سترتس ليس مرتبطًا كثيرًا بتقنية واجهة أمامية. في الأيام الخوالي كانت JSP، ثم جاءت Velocity وFreemarker. في الوقت الحاضر، قد تبني تطبيق الويب الخاص بك باستخدام HTML ثابت وAngularJS فقط. أو قد تريد استخدام Sitemesh أو Tiles. كل هذا ليس مشكلة بفضل آليات التوسعة الأنيقة وسهلة الاستخدام في سترتس.
على عكس الأطر الأخرى الموجهة للمكونات، لا نهدف إلى إخفاء الطبيعة عديمة الحالة للويب. نعتقد أنه من المقبول تمامًا البناء على دورة طلب/استجابة (Request/Response). كما نعتقد أن نمط MVC ليس سيئًا لمجرد أنه قديم. في الواقع، نؤمن بأن بنية أباتشي سترتس نظيفة وسهلة الفهم.
بالطبع، إذا كنت ترغب في بناء مكونات على جانب الخادم تُعرض على جانب الواجهة الأمامية، فمن المرجح أن سترتس ليس الخيار الصحيح لك. هذا نهج مختلف يعد بتقليل مقدار المعرفة المطلوبة بـ HTML/JavaScript وإنشاء مكونات قابلة لإعادة الاستخدام لطبقة العرض. مشاريع مثل Wicket وTapestry تخدم هذا الغرض بشكل جيد للغاية. كما هو الحال مع أي إطار عمل، تحتاج إلى تحديد ما إذا كان بناء المكونات منطقيًا بالنسبة لك أم أن نهج سترتس أفضل لك.
